iis - 如何监控通过请求发送的客户端证书？

Question

所有证书都是使用另一个自签名 CA 证书生成的。我正在为一个项目做 POC。

我必须想出一种方法来获取有关通过客户端请求接收的客户端证书的信息。我该怎么做？

编辑:更具体地说，我想检查来自两个不同传入网络请求的两个客户端证书是否相似

Answer 1

How do I monitor client certs that are being sent via the requests?

客户端证书用于建立 SSL/TLS 连接。 HTTPS 请求发生在较高级别，与较低级别的 SSL/TLS channel 无关。

话虽如此，可能有可用的 token 或 cookie 将来自客户端证书的用户身份与 HTTP 请求绑定(bind)。

---

It's imperative for me to figure out a way to get information aboutthe client certs that are received through the client requests. How doI do this?

你没有说你有什么，你想要什么信息。您可能需要更具体一些。

---

I want to check if two client certs coming from two different incomingweb requests are similar or not

您需要在此上下文中定义“相似”。这可能很棘手。

天真地，您可以使用 {Subject's Distinguished Name} 或 {Subject's Distinguished Name, Public Key} 来查看两者是否“相等”。但我不确定如何区分“相似”(也许是相同的 Issuer？)。

注意不要只使用{Subject's Distinguished Name}。这是最新的 Android APK 签名错误:Android Fake ID Vulnerability Lets Malware Impersonate Trusted Applications .

X509 证书将公钥绑定(bind)到实体。因此，基于 (1) 主题、(2) 公钥和 (3) 颁发者(对 (1) 和 (2) 应用签名)的证书是“唯一的”。

实体出现在主题中。例如，服务器或用户。服务器通过其 DNS 名称等进行识别；而用户是通过他们的电子邮件地址来识别的。您可以通过Subject's Distinguished Name 获取主题名称。

您可以从证书中获取主题的公钥。公钥将始终可用，就像主题将始终可用一样。受信任的权威机构将两者绑定(bind)在一起，如果其中任何一个缺失，则不会签署请求。

颁发者 签署了主体的证书。它是一个值得信赖的机构，通常是一个公共(public) CA。您可以从Issuer Distinguished Name 中获取颁发者的名称。

如果需要，您可以从 Authority Key Identifier (AKI) 中获取发行者公钥的摘要。要获得实际的公钥，您需要检查颁发者的证书。

当您验证主体证书上的签名时，您需要颁发者的证书。您需要它，因为您需要颁发者的公钥来验证主体证书上的证书。

您可以在 RFC 4514 中阅读有关专有名称(以及组成它们的相对专有名称 (RDN))的信息, 轻量级目录访问协议(protocol) (LDAP):可分辨名称的字符串表示。